林奕翔 李炯彬 付彥志 張斌 韓宇

引言

近年來，無人機、掃地機器人等聯(lián)網(wǎng)產(chǎn)品以及其他涉及用戶位置信息和個人信息的產(chǎn)品受到網(wǎng)絡(luò)攻擊的情況越來越嚴(yán)重。例如，聯(lián)網(wǎng)產(chǎn)品具備的監(jiān)控功能使用麥克風(fēng)和揚聲器，可以實時監(jiān)控個人；無人機、掃地機器人等聯(lián)網(wǎng)設(shè)備長期連接到互聯(lián)網(wǎng)；對于廣域連接的無人機、掃地機器人可借助無線電設(shè)備進(jìn)行遠(yuǎn)程操控，這些應(yīng)用都容易受到網(wǎng)絡(luò)攻擊。需要注意的是，在歐盟法律體系下，具有無線電功能的設(shè)備屬于無線電設(shè)備指令（RED）[1]范圍，而RED需涵蓋該設(shè)備的全面技術(shù)要求。因此，產(chǎn)品必須符合第3.3條適用的條款以證明其具有網(wǎng)絡(luò)安全性，而不僅僅是符合無線電性能要求。這是委托法規(guī)(EU) 2022/30[2]技術(shù)要求出臺的主要原因。

一、委托法規(guī)（EU）2022/30簡述

（一）產(chǎn)品范圍及實施時間

委托法規(guī)（EU）2022/30適用于任何連接到互聯(lián)網(wǎng)的設(shè)備，無論是直接連接還是間接連接。包括：

1.可穿戴技術(shù)或帶有無線電功能的便攜式設(shè)備，包括可由人員佩戴或攜帶的無線電設(shè)備或放在其衣服中的設(shè)備。

2.用于轉(zhuǎn)移貨幣或虛擬貨幣的設(shè)備。

3.帶有無線電功能的兒童玩具或其他用于兒童保育的設(shè)備，例如兒童監(jiān)護(hù)器。即使此類設(shè)備沒有互聯(lián)網(wǎng)連接，也適用于該法規(guī)。

綜合上述規(guī)定，聯(lián)網(wǎng)無人機、掃地機器人產(chǎn)品屬于法規(guī)適用的產(chǎn)品類型。2023年7月20日，歐盟委員會發(fā)布更新信息[3]，將法規(guī)延期到2025年8月1日起強制執(zhí)行。

（二）網(wǎng)絡(luò)安全評價要求

1.RED第3.3條評價要求主要包括以下三方面內(nèi)容：

第3.3（d）條無線電設(shè)備不會損害網(wǎng)絡(luò)或其功能，也不會濫用網(wǎng)絡(luò)資源從而導(dǎo)致服務(wù)不可接受的降級。

該條款適用于直接或間接地連接到互聯(lián)網(wǎng)的設(shè)備。

無線設(shè)備應(yīng)：

a.包括監(jiān)控和控制網(wǎng)絡(luò)流量的元素，包括傳輸出站數(shù)據(jù)；

b.設(shè)計以減輕持續(xù)的拒絕服務(wù)攻擊的影響；

c.實施適當(dāng)?shù)纳矸蒡炞C和訪問控制機制；

d.在風(fēng)險基礎(chǔ)上提供最新的軟件和硬件，這些軟件和硬件在上市時不包含公開已知的可利用漏洞，涉及對網(wǎng)絡(luò)或其功能的損害或濫用網(wǎng)絡(luò)資源；

e.如果產(chǎn)品漏洞被利用可能導(dǎo)致無線電設(shè)備損害網(wǎng)絡(luò)或其功能或濫用網(wǎng)絡(luò)資源，應(yīng)提供自動化和安全的軟件或固件更新機制，允許在必要時減輕漏洞影響；

f.保護(hù)暴露的攻擊面并令成功的攻擊影響最小化。

2.第3.3（e）條無線電設(shè)備應(yīng)包含保障措施，以確保用戶和訂戶的個人數(shù)據(jù)和隱私得到保護(hù)。

該條款適用于能夠處理個人數(shù)據(jù)、流量數(shù)據(jù)和位置數(shù)據(jù)的設(shè)備。此外，還包括專門用于兒童保育的設(shè)備、可以佩戴在頭部或身體的任何部位（包括服裝）以及其他連接到互聯(lián)網(wǎng)的設(shè)備。

無線電設(shè)備應(yīng)：

a.保護(hù)存儲、傳輸或以其他方式處理的個人數(shù)據(jù)，防止意外或未經(jīng)授權(quán)的處理，包括存儲、訪問、披露、銷毀、丟失或更改或缺乏可用性；

b.實施適當(dāng)?shù)纳矸蒡炞C和訪問控制機制；

c.在風(fēng)險基礎(chǔ)上提供最新的軟件和硬件，這些軟件和硬件在上市時不包含公開已知的可利用漏洞，涉及數(shù)據(jù)保護(hù)和隱私；

d.如果產(chǎn)品漏洞被利用可能導(dǎo)致未經(jīng)授權(quán)的處理，包括存儲、訪問、披露、銷毀、丟失、更改或缺乏可用性的個人數(shù)據(jù)，應(yīng)提供自動化和安全的軟件或固件更新機制，允許在必要時減輕漏洞影響；

e.包括通知用戶可能影響數(shù)據(jù)保護(hù)和隱私的更改的功能；

f.記錄可能對數(shù)據(jù)保護(hù)和隱私產(chǎn)生影響的內(nèi)部活動；

g.允許用戶輕松刪除其存儲的個人數(shù)據(jù)，使得可以處理或更換設(shè)備而不會有暴露個人數(shù)據(jù)的風(fēng)險；

h.保護(hù)暴露的攻擊面并令成功的攻擊影響最小化。

3.第3.3（f）條無線電設(shè)備支持某些功能，以防止欺詐。

該條款適用于直接或間接地連接到互聯(lián)網(wǎng)的設(shè)備，允許用戶轉(zhuǎn)移貨幣、貨幣價值或虛擬貨幣。

無線電設(shè)備應(yīng)：

a.保護(hù)存儲、傳輸或以其他方式處理的財務(wù)或貨幣數(shù)據(jù)，防止意外或未經(jīng)授權(quán)的處理，包括存儲、訪問、披露、銷毀、丟失或更改或缺乏可用性；

b.實施適當(dāng)?shù)纳矸蒡炞C和訪問控制機制；

c.在風(fēng)險基礎(chǔ)上提供最新的軟件和硬件，這些軟件和硬件在上市時不包含公開已知的可利用漏洞，涉及財務(wù)或貨幣數(shù)據(jù)；

d.如果產(chǎn)品漏洞被利用可能導(dǎo)致未經(jīng)授權(quán)的處理，包括存儲、訪問、披露、銷毀、丟失或更改或缺乏可用性的財務(wù)或貨幣數(shù)據(jù)，應(yīng)提供自動化和安全的軟件或固件更新機制，允許在必要時減輕漏洞影響；

e.記錄可能對財務(wù)或貨幣數(shù)據(jù)產(chǎn)生影響的內(nèi)部活動；

f.保護(hù)暴露的攻擊面并令成功的攻擊影響最小化。

二、相關(guān)技術(shù)標(biāo)準(zhǔn)分析

歐盟RED指令下尚無網(wǎng)絡(luò)安全的協(xié)調(diào)標(biāo)準(zhǔn)，當(dāng)前階段根據(jù)ETSI TS 103 929技術(shù)要求，主要使用的標(biāo)準(zhǔn)有ETSI EN 303 645[4]及IEC 62443-4-2[5]。IEC 62443-4-2主要面向工業(yè)用產(chǎn)品設(shè)備，與無人機、掃地機器人產(chǎn)品的關(guān)聯(lián)度不大，本文主要針對ETSI EN 303 645進(jìn)行分析。

（一）ETSI EN 303 645標(biāo)準(zhǔn)

ETSI EN 303 645是目前歐盟標(biāo)準(zhǔn)中較接近以上網(wǎng)絡(luò)安全要求的標(biāo)準(zhǔn)，可作為未來網(wǎng)絡(luò)安全要求的參考。該標(biāo)準(zhǔn)技術(shù)要求主要包括消費物聯(lián)網(wǎng)產(chǎn)品的網(wǎng)絡(luò)安全要求和消費物聯(lián)網(wǎng)產(chǎn)品的數(shù)據(jù)保護(hù)要求。消費物聯(lián)網(wǎng)產(chǎn)品的數(shù)據(jù)保護(hù)要求主要有以下內(nèi)容：

制造商應(yīng)為消費者提供有關(guān)每個設(shè)備和服務(wù)處理哪些個人數(shù)據(jù)、如何使用、由誰使用以及出于何種目的的清晰透明的信息。這也適用于可能涉及的第三方，包括廣告商。

在基于消費者同意處理個人數(shù)據(jù)的情況下，應(yīng)以有效的方式獲得同意。以“有效的方式”獲得同意，通常涉及向消費者提供明確、明顯的選擇，即，是否可以將個人數(shù)據(jù)用于特定目的。

已同意處理其個人數(shù)據(jù)的消費者應(yīng)隨時具有撤回同意的能力。消費者希望通過適當(dāng)配置物聯(lián)網(wǎng)設(shè)備和服務(wù)功能來保護(hù)其隱私。

如果從消費者物聯(lián)網(wǎng)設(shè)備和服務(wù)中收集遙測數(shù)據(jù)，則應(yīng)將個人數(shù)據(jù)的處理保持在所需功能的最低限度內(nèi)。

如果從消費者聯(lián)網(wǎng)設(shè)備和服務(wù)中收集遙測數(shù)據(jù)，則應(yīng)向消費者提供有關(guān)收集哪些遙測數(shù)據(jù)、如何使用、由誰使用以及出于何種目的的信息。

綜合上述規(guī)定，聯(lián)網(wǎng)無人機、掃地機器人產(chǎn)品應(yīng)符合ETSI EN 303 645中的消費物聯(lián)網(wǎng)產(chǎn)品的網(wǎng)絡(luò)安全要求和消費物聯(lián)網(wǎng)產(chǎn)品的數(shù)據(jù)保護(hù)要求。

（二）ETSI EN 303 645與我國現(xiàn)在標(biāo)準(zhǔn)的比較

ETSI EN 303 645是當(dāng)前全球范圍內(nèi)物聯(lián)網(wǎng)產(chǎn)品的基礎(chǔ)標(biāo)準(zhǔn)，側(cè)重處理當(dāng)前普遍存在的網(wǎng)絡(luò)安全缺陷和消費者相關(guān)隱患保護(hù)。ETSI EN 303 645基于物聯(lián)網(wǎng)產(chǎn)品網(wǎng)絡(luò)安全，條款包含身份鑒別機制、隱私策略信息、軟件升級更新服務(wù)、加密存儲與傳輸、個人信息刪除及撤回處理、暴露接口安全等方面，在隱患保護(hù)方面與我國現(xiàn)有標(biāo)準(zhǔn)GB/T 35273-2020 《信息安全技術(shù) 個人信息安全規(guī)范》、GB/T 34975-2017 《信息安全技術(shù) 移動智能終端應(yīng)用軟件安全技術(shù)要求和測試評價方法》中條款具有部分共通點。在設(shè)備網(wǎng)絡(luò)安全漏洞方面與我國標(biāo)準(zhǔn)GB/T 36951-2018 《信息安全技術(shù) 物聯(lián)網(wǎng)感知終端應(yīng)用安全技術(shù)要求》、GB/T 37024-2018 《信息安全技術(shù) 物聯(lián)網(wǎng)感知層網(wǎng)關(guān)安全技術(shù)要求》、GB/T 37093-2018《信息安全技術(shù) 物聯(lián)網(wǎng)感知層接入通信網(wǎng)的安全要求》等存在部分共通點。

三、歐盟網(wǎng)絡(luò)安全基本要求對我國企業(yè)的主要影響分析

（一）我國缺乏強制性標(biāo)準(zhǔn)，企業(yè)對網(wǎng)絡(luò)安全重視程度不夠，產(chǎn)品存在網(wǎng)絡(luò)安全隱患

我國相關(guān)標(biāo)準(zhǔn)GB/T 35273-2020 《信息安全技術(shù) 個人信息安全規(guī)范》、GB/T 34975-2017 《信息安全技術(shù) 移動智能終端應(yīng)用軟件安全技術(shù)要求和測試評價方法》、GB/T 36951-2018 《信息安全技術(shù) 物聯(lián)網(wǎng)感知終端應(yīng)用安全技術(shù)要求》、GB/T 37024-2018 《信息安全技術(shù) 物聯(lián)網(wǎng)感知層網(wǎng)關(guān)安全技術(shù)要求》、GB/T 37093-2018 《信息安全技術(shù)物聯(lián)網(wǎng)感知層接入通信網(wǎng)的安全要求》均為推薦性標(biāo)準(zhǔn)，企業(yè)重視程度不夠，產(chǎn)品可能會存在網(wǎng)絡(luò)安全隱患，影響聯(lián)網(wǎng)無人機、掃地機器人等產(chǎn)品進(jìn)入歐盟市場。

（二）技術(shù)標(biāo)準(zhǔn)要求不明確，缺乏過渡期

目前供參考的標(biāo)準(zhǔn)ETSI EN 303 645、IEC 62443-4-2不是最終的歐盟協(xié)調(diào)標(biāo)準(zhǔn)，協(xié)調(diào)標(biāo)準(zhǔn)未發(fā)布的情況下，企業(yè)難以判斷各產(chǎn)品類型目前的符合情況，以及滿足合規(guī)的技術(shù)風(fēng)險，企業(yè)難以依據(jù)標(biāo)準(zhǔn)要求對在售和研發(fā)中的聯(lián)網(wǎng)無人機、掃地機器人等產(chǎn)品進(jìn)行評估。

協(xié)調(diào)標(biāo)準(zhǔn)發(fā)布日期推遲到2024年6月，而產(chǎn)品網(wǎng)絡(luò)安全要達(dá)到法規(guī)要求一般需要經(jīng)過評估、改進(jìn)、驗證和認(rèn)證等環(huán)節(jié)，歐盟標(biāo)準(zhǔn)實施時間表令制造商很難有充分時間準(zhǔn)備檢測認(rèn)證工作以滿足法規(guī)要求。

（三）檢測認(rèn)證資源緊缺

法規(guī)要求涉及的產(chǎn)品類型非常廣泛，但是，目前僅有6家公告機構(gòu)（Notified Body）具備RED 3.3 d～f條款的發(fā)證能力，具備檢測能力的實驗室也相對有限，制造商在法規(guī)實施過程中面臨的資源問題將極為突出。

四、建議

（一）關(guān)注歐洲適用標(biāo)準(zhǔn)的制定情況

根據(jù)WTO/TBT協(xié)定第5.9款“各成員應(yīng)在有關(guān)合格評定程序要求的公布和生效之間留出合理時間間隔，使出口成員、特別是發(fā)展中國家成員的生產(chǎn)者有時間使其產(chǎn)品和生產(chǎn)方法適應(yīng)進(jìn)口成員的要求”，鑒于網(wǎng)絡(luò)安全要求的技術(shù)標(biāo)準(zhǔn)制定進(jìn)度落后于計劃，發(fā)布時間將極為接近法規(guī)要求生效日期，建議通過國家渠道促使歐盟在技術(shù)標(biāo)準(zhǔn)發(fā)布后提供12個月的過渡期。

（二）應(yīng)出臺相關(guān)認(rèn)證實施規(guī)則

應(yīng)整合我國消費物聯(lián)網(wǎng)產(chǎn)品（如聯(lián)網(wǎng)無人機、掃地機器人等）網(wǎng)絡(luò)安全相關(guān)標(biāo)準(zhǔn)，出臺與歐盟無線電設(shè)備指令（RED）第3.3條網(wǎng)絡(luò)安全基本、ETSI EN 303 645相類似標(biāo)準(zhǔn)，并制定相應(yīng)的認(rèn)證實施規(guī)則。

（三）推動國內(nèi)實驗室開展相關(guān)檢測能力建設(shè)

通過總局科研專項計劃資助等方式推動國內(nèi)檢測機構(gòu)開展聯(lián)網(wǎng)無人機、掃地機器人等產(chǎn)品網(wǎng)絡(luò)安全檢測能力建設(shè)，以協(xié)助制造商完成網(wǎng)絡(luò)安全檢測認(rèn)證工作。